Archivo de la categoría: Seguridad – Endpoint

Mes de la Ciberseguridad: ¿cómo los usuarios se convierten en las víctimas?

La ciberseguridad es una parte importante de nuestra vida cotidiana, tanto si somos conscientes de ello como si no. Crear conciencia de que hay que estar seguro online es responsabilidad de cada uno y es parte clave en la lucha contra la ciberdelincuencia. Es por ello que uno de los lemas del Mes de Concienciación de Seguridad Cibernética Nacional de este año es la campaña ‘Pare. Piense. Conecte ‘™, que promueve este mismo mensaje.

Aprender a estar seguro on line es difícil sin saber cómo uno puede ser infectado. Entonces, ¿cómo se convierten los usuarios de hoy en día en víctimas de las distintas amenazas on line?

¿Cómo se convierten los usuarios en víctimas?

Hay varios métodos que conducen a los usuarios a convertirse en víctimas de las amenazas on line. Los ejemplos incluyen correo electrónico – donde tenemos spam, incluido spam con archivos adjuntos o enlaces a sitios web maliciosos. Las amenazas también llegan a través de las redes sociales, donde los ciberdelincuentes pueden spamear a los usuarios con mensajes y mensajes instantáneos, que también contienen diversas amenazas.

Mientras que las amenazas han cambiado con los años, muchos de los métodos utilizados para difundir estas amenazas no son muy diferentes de las técnicas anteriores. Los cibercriminales siguen confiando en el correo electrónico para enviar millones y millones de spam cada día; el feed back que da Smart Protection Network indica que casi dos tercios de correo electrónico es spam. Sitios web maliciosos – incluyendo los sitios de phishing y estafas de encuestas – están todavía en circulación.

Estas técnicas – y otras formas de ingeniería social – aún funcionan, por desgracia. Los usuarios, por ejemplo, tienen dificultades para detectar una estafa de phishing. Otros pueden no reconocer los problemas de seguridad de adware y aplicaciones “libres”. Otros pueden no reconocer los riesgos a los que se enfrentan los usuarios de banca móvil. Otras tácticas bien conocidas como el spam, aplicaciones troyanizadas de las tiendas de aplicaciones de terceros y sitios comprometidos siguen siendo un problema hoy en día. A casi todo lo que hacemos en Internet tiene se le atribuye algún tipo de riesgo y los usuarios deben ser conscientes de ello.

¿Cómo pueden los usuarios evitar convertirse en víctimas?

La parte más importante en la seguridad on line es el reconocimiento de que existe una amenaza. Muchas de estas amenazas se basan en que el usuario no sabe cómo funcionan. Un usuario informado no será víctima de numerosas amenazas. Los usuarios informados también pueden ayudar a sus amigos a evitar estas estafas.

En relación al Mes de Concienciación de Seguridad Cibernética Nacional, discutiremos varios aspectos del actual panorama de amenazas en línea. Esté atento a los distintos epígrafes que tratan sobre las amenazas de hoy en día, y lo que se está haciendo para ayudar a combatirlas a diario.

La vulnerabilidad Shellshock pone bajo riesgo a la mayoría de los servidores y dispositivos en internet

Se ha descubierto una importante y peligrosa vulnerabilidad llamada Shellshock que, hasta ahora ha impactado en aproximadamente 500 millones de servidores web y otros dispositivos conectados a Internet, incluyendo teléfonos móviles, routers o dispositivos médicos, entre otros, de acuerdo con los expertos de Defensa de Amenazas de Trend Micro, proveedor global de soluciones de seguridad. Como  Shellshock está relacionada con Linux, ésta puede afectar a las plataformas PC y Apple.

En resumen, esta vulnerabilidad es una potencial plaga que puede explotar el acceso de comandos a los sistemas basados ​​en Linux, que constituyen aproximadamente el 51%  de los servidores web de todo el  mundo. Debido a su generalización, los ataques podrían “crecer” a un ritmo muy rápido. Similar a Shellshock es la vulnerabilidad Heartbleed que se descubrió hace unos meses, pero Heartbleed queda eclipsada por la extensión y alcance de esta nueva vulnerabilidad.

Debido a la naturaleza generalizada de Shellshock, deberían tenerse en cuenta los consejos que se ofrecen a continuación:

  1. Usuario final: vigile los parches y aplíquelos inmediatamente
  2. Administradores de TI: si utilizan Linux, deshabiliten las secuencias de comandos BASH inmediatamente
  3. Operadores de páginas web: si BASH está en el scrip, aplique el parche lo antes posible, o reescriba la secuencia de comandos lejos de BASH
  4. Clientes co-hosting: pregunte a su proveedor qué está haciendo para remediar y aplicar parches en consecuencia

Trend Micro ha seguido de cerca el comportamiento de Shellshock y continuará apoyando e informando a clientes y usuarios sobre esta nueva vulnerabilidad.

Para mayor información visite el blog de Trend Micro: http://blog.trendmicro.com/bash-shellshock-vulnerability/

Consulte el documento adjunto en el que se explica qué es Shellshock, a qué afecta y cómo se puede proteger con los parches que ya están disponibles.

 

Las implicaciones de seguridad de los portables. Parte 3

por David Sancho (Senior Threat Researcher)

En el segundo post de esta serie, hablamos de los dos primeros tipos de ataques que implican a elementos portables. Ahora vamos a pasar a la tercera clase de ataque, que puede ser considerado el más dañino de los tres.
Alto Riesgo de usuario, baja fiabilidad de los ataques

Estos ataques son considerados los más peligrosos, pero estos también los menos probables. Si un atacante logra comprometer con éxito el hardware o la red de protocolo de un dispositivo portátil, no sólo tendrá acceso a los datos en bruto en los dispositivos ‘IN’ sino también la capacidad de mostrar contenido arbitrario en dispositivos ‘out’.
Estos escenarios van desde el robo de datos personales hasta destrozar la realidad de una cámara. Estos ataques pueden afectar negativamente al usuario e incluso impedir el desempeño de sus rutinas diarias. Estos ataques también pueden tener un gran impacto si estos dispositivos se utilizan en un entorno profesional: una sencilla denegación de servicio podría prevenir a un médico de operar a un paciente o prevenir a un agente de la ley de adquirir datos de entrada para atrapar delincuentes.
Dado que el protocolo más utilizado por estos dispositivos es Bluetooth, será de gran ayuda una explicación rápida. Bluetooth es un protocolo inalámbrico de corto alcance similar a Wi-Fi en usos, pero con una gran diferencia. Considerando que el Wi-fi tiene una filosofía de “punto de acceso” en la mente, Bluetooth funciona como un tipo de comunicación de extremo a extremo.

Necesita emparejar dos dispositivos con el fin de hacer que dos dispositivos “hablen” entre sí a través de Bluetooth. En este proceso de emparejamiento, los dispositivos intercambian una clave de cifrado que servirá para establecer la comunicación entre los dos dispositivos. Otra diferencia con el Wi-Fi es que Bluetooth intenta minimizar las interferencias de radio saltando de una banda a otra en una secuencia preestablecida.
Este tipo de configuración tiene dos efectos principales sobre la piratería a través de Bluetooth. Uno, un atacante tiene que adquirir la clave de cifrado que se utiliza al escuchar a los dispositivos vinculados la primera vez que estos se sincronizan. Si se tarda más en la comunicación solo habrá ruido para el intruso. Dos, un ataque de denegación de servicio necesita para transmitir el ruido una amplia gama de frecuencias utilizadas por el protocolo con el fin de que tenga un impacto. Esto no es imposible, pero un ataque de ese tipo implica un esfuerzo mayor que contra cualquier otro protocolo de radio.
Los ataques siguen siendo posibles, pero las probabilidades son mucho más bajas en comparación con otros tipos de ataques. El hecho de que el atacante tiene que estar físicamente cerca de los dispositivos limita los objetivos que un ataque de ese tipo tiene que tener. Estos ataques serán probablemente un ataque altamente apuntado que los datos que se intercambian es de uso particular para el atacante o alterando la percepción de la víctima es de suma importancia. El alcance de estos posibles ataques es muy estrecha: no monetario y muy centrados.
En el escenario más improbable, un atacante que sería capaz de tomar más de uno de estos dispositivos sería capaz de utilizarlo para realizar otros ataques desde allí. Una vez que el atacante tiene el control completo sobre el dispositivo, pueden usarla – por lo menos – para acceder a las páginas web. Esto puede permitir al atacante para realizar el fraude de clics mediante el acceso a la publicidad o cualquier otra página web o incluso realizar ataques de denegación de servicio contra otros sistemas. Tal ataque requeriría la capacidad para que el atacante de entender la forma de ejecutar código en el dispositivo en particular y que por lo general no es posible o factible por lo que este escenario particular, pertenece a la categoría improbable.
smart-wearables-3

1. Atacantes controlando el dispositivo portable

Atacando a la Capa de App

Otra posible vía de ataque es atacar la capa de aplicación y secuestrar los datos que van a la nube.Este ataque puede permitir a los chicos malos lo siguiente:

• Escuchar la información que se envía por la aplicación local.

•Tocar los datos que se almacenan en el dispositivo móvil.

Hemos probado algunas aplicaciones para comprobar la viabilidad de un ataque de ese tipo. Tanto Fitbit y Pebble cifran sus sesiones con SSL (HTTPS) y también comprueban los certificados SSL de los sitios remotos. Por lo tanto, la suplantación de la comunicación mediante el uso de un certificado auto-firmado diferente no funcionará. Debido a que estas aplicaciones no pueden ser engañadas con ataques man-in-the-middle, la información permanece protegida en su camino a la nube. Esto sigue siendo un vector de ataque válido porque las aplicaciones móviles de otros fabricantes podrían no estar protegiendo sus datos de la misma manera.

Nuevos dispositivos, nuevas posibilidades

Nuevos dispositivos significan nuevas posibilidades para los atacantes. Aunque pueden producirse no todos los escenarios que presentamos, algunos de estos ataques son bastante fáciles de quitar o al menos intentarlo. Los investigadores de seguridad deben tener en cuenta estas nuevas vías de ataque y mirar hacia fuera para los nuevos desarrollos en portables y otros nuevos campos con el fin de estar preparados siempre y cuando cualquiera de estos ataques conceptuales finalmente suceda.

Puede leer las entradas anteriores de “las implicaciones de seguridad de los portables:” •

Parte 1

Parte 2

 

Para obtener más información acerca de elementos portables, puede revisar el artículo “¿Está preparado para los portables?” y la infografía, “The In and Out of Wearable Devices “. Para obtener más información acerca de los dispositivos inteligentes, puede visitar nuestro Internet of Everything hub

2014 – Una explosión de brechas de datos y malware específico para TPV

Numaan Huq, Threat Senior Research de Trend Micro

La industria de la seguridad informática siempre recordará 2013 como el año en que Estados Unidos fue víctima de una de las mayores brechas de datos de la historia. En un ataque dirigido, la cadena de grandes almacenes Target, se vio comprometida durante la campaña de Navidad utilizando el malware BlackPOS, una modalidad de malware específica para los terminales punto de venta (TPV o PoS) llamada RAM scraper, que se instala en la memoria de los terminales para robar tarjetas y claves. Se estima que los cibercriminales robaron 40 millones de números de tarjetas de crédito y débito, así como 70 millones de registros personales de los compradores de Target.

Desde que la violación de datos de Target se convirtió en el centro de atención, ha habido un flujo constante de comercios y retailers que han hecho público sus incidentes relacionados con la seguridad de sus datos. Estas brechas de datos, por lo general, conllevan el robo de datos de tarjetas de crédito utilizando la modalidad de malware recopiladores de RAM para TPV. A principios de este mes, Brian Krebs comunicó otra gran brecha de datos en la que se ha visto afectado el distribuidor estadounidense Home Depot y para la cual se ha utilizado una nueva variante de BlackPOS Pos RAM Scraper. Se cree que casi todas las filiales de Home Depot en EE.UU. se han visto afectadas y se estudia si esta fuga de datos podría haber superado la brecha que afectó a Target en términos de volumen de datos robados.

Además de un mayor número de brechas de datos, 2014 también está trayendo un aumento en el número de nuevas familias y variantes de recopiladores de RAM para TPV. El árbol genealógico creado por Trend Micro sobre recopiladores de RAM para TPV ilustra la evolución siguiente:

 

1

Figura 1: Evolución de la familia recopiladores de RAM para TPV

La primera evidencia de recopiladores de RAM para TPV se remonta a una Alerta de Seguridad de Datos de Visa, del 2 de octubre de 2008.Entonces los cibercriminales intentaron instalar las herramientas de depuración en los sistemas de puntos de venta para seguir las pistas de los datos de tarjetas de crédito 1 y 2 desde la memoria RAM. En 2009, Verizon también informó de la existencia de RAM scrapers para TPV junto a los perfiles de sus víctimas; los objetivos eran principalmente la industria comercial y de hostelería. Las familias de recopiladores de RAM para TPVcomenzaron a evolucionar en torno a finales de 2011. Tal y como se observa en el árbol genealógico, ha habido un lanzamiento constante de nuevas variantes de recopiladores de RAM scraper para TPV entre las que se encuentran nuevas brechas  y técnicas de extracción. Lo que se destaca en el gráfico de recopiladores de RAM para TPV es la alta concentración de las nuevas variantes que han surgido sólo en 2014. Seis variantes de esta familia de malware scraper aparecieron entre 2011 y 2013, pero los investigadores ya han descubierto el mismo número de variantes en lo que va de 2014. Tal y como se ilustra con las flechas, estas nuevas variantes ya han tomado prestadas las funcionalidades de sus predecesores o son evoluciones directas de modalidades de recopiladores de RAM para TPV más antiguas.

De las seis nuevas variantes descubiertas en 2014, cuatro lo fueron entre los meses de junio y agosto.

  • Soraya: descubierto en junio y es un malware inspirado en Dexter y ZeuS. Además de instalarse en la memoria RAM para extraer los datos de las pistas 1 y 2 de las tarjetas de crédito, toma prestado trucos de ZeuS para enganchar la API NtResumeThread, y se inyecta en todos los procesos nuevos. También toma prestada la funcionalidad de apropiación de ZeuS y capta la función HTTP POST del navegador. Trend Micro detecta variantes de Soraya como TSPY_SORAYA.A.
  • BrutPOS: descubierto en julio yparece haber tomado la funcionalidad de una variante BlackPOS. Intenta explotar los sistemas de los terminales punto de venta que utilizan contraseñas débiles o por defecto y tienen abierto los puertos de Protocolo de Escritorio Remoto (RDP, por sus siglas en inglés). BrutPOS tiene mayor fuerza en los inicios de sesión: combinaciones de contraseñas para poder entrar en el sistema. Trend Micro detecta variantes BrutPOS como TROJ_TIBRUN.ByTROJ_TIBRUN.SM.
  • Backoff: hallado en julio es el sucesor de Alina. Implementa una función de búsqueda de datos actualizada y baja un proceso de vigilancia que garantiza que Backoff se está ejecutando siempre en el sistema. Los ciberdelincuentes utilizan las herramientas disponibles para el público para forzar la entrada en aplicaciones RDP de los sistemas TPV e instalar Backoff. Trend Micro detecta variantes de Backoff como TSPY_POSLOGR.A, TSPY_POSLOGR.B, y TSPY_POSLOGR.C.
  • BlackPOS ver 2.0: encontrado en agosto, clona la técnica de extracción que la variante BlackPOS utilizó para comprometer a la cadena de almacenes estadounidense Target. BlackPOS ver 2.0 también añade una característica única donde pretende hacerse pasar por una solución antivirus instalada en el Sistema para evitar llamar la atención sobre sí mismo. Los informes indican que este malware parece que ha sido utilizado en la última gran brecha de datos en la que se ha visto comprometida Home Depot. Trend Micro detecta variantes de BlackPOS ver 2.0 como TSPY_MEMLOG.A.

Nota: Una variante de malware puede haber existido mucho antes de que se descubriera porque el seguimiento de las fechas exactas es una tarea extremadamente difícil de realizar.

Trend Micro ha elaborado un documento titulado: “Malware recopiladores de RAM para PoS: Pasado, Presente y Futuro”,en el que estudia y analiza el problema de recopiladores de RAM para TPV de la A a la Z, además de detallar lo siguiente:

 

  • Profundiza en el ecosistema TPV y describe cómo las transacciones de los sistemas punto de venta funcionan desde el momento en que los clientes deslizan sus tarjetas de crédito hasta el momento en que se realiza el cargo de sus compras.
  • Incluye una descripción de los tipos de datos que residen en la banda magnética de las tarjetas de pago.
  • Se analiza la evolución del malware recopiladores de RAM para TPV, desde sus sencillos comienzos hasta cómo se han convertido en las amenazas industrializadas de hoy.
  • Explora los diversos métodos de infección de recopiladores de RAM para TPV proporcionando un punto de vista técnico de las familias de malware recopiladores de RAM para TPV más predominantes hasta la fecha.
  • Detalla las técnicas de extracción de datos utilizadas por los recopiladores de RAM para TPV y examina lo que ocurre con los datos que los ciberdelincuentes extraen.
  • Se intenta predecir cómo será la próxima generación de recopiladores de RAM para TPV, cómo se verán los futuros vectores de ataque en los terminales punto de venta. Ç
  • Por último, el documento ofrece estrategias de prevención que las empresas pueden seguir para protegerse contra los RAM scrapers para TPV.

Si desea más información visite el Blog de Trend Micro en:   http://blog.trendmicro.com/trendlabs-security-intelligence/2014-an-explosion-of-data-breaches-and-pos-ram-scrapers/

 

Facebook Integra HouseCall de Trend Micro para luchar contra las amenazas on line

Nuestra solución de seguridad gratuita, Trend Micro HouseCall, proporciona a todos los usuarios de Facebook detección y eliminación de malware de las cuentas infectadas.
fbLa eliminación de malware permite a los usuarios continuar socializando on line en un entorno más seguro y privado sin estar infectados de otras cuentas o compartir involuntariamente contenido malicioso. Esta asociación permite a los usuarios de Facebook participar con confianza con los otros sabiendo que sus dispositivos están protegidos y su información on line asegurada.

Usuarios potencialmente infectados son identificados y notificados por Facebook dándoles la opción de descargar la versión gratuita de HouseCall, que busca y elimina malware. HouseCall comenzará su análisis en las cuentas afectadas de los usuarios que optan por descargar el escáner, y los usuarios podrán continuar usando Facebook mientras se realiza la exploración. Una vez finalizada ésta un mensaje avisará a los usuarios si la limpieza tuvo éxito o no.

Con miles de millones de clicks cada día en Facebook, la plataforma social es un objetivo tentador para spammers y delincuentes. HouseCall mitigará estas amenazas infecciosas, ya que detecta y alerta a los usuarios de las actividades maliciosas que podrían comprometer la seguridad del usuario y privacidad.

Para aprender más sobre nuestra asociación con Facebook , haga clic aquí